資安趨勢部落格 – 第 639 頁 – 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

30 年後看電影「回到未來」的兩個科技預言

2015 年 10 月 21 日2016 年 01 月 26 日趨勢科技 TrendMicro

2015年10月21日被稱作「回到未來日」（Back to the Future Day），因為這天是1989年首映的經典科幻電影《回到未來續集》（Back to the Future Part II）裡，劇中人物穿越時空從1985年乘著時光車抵達「未來」的日子。

當這虛構的未來日子終於來臨時，不免想問：「片中的未來科技,那些已經成真？」今天從安全和隱私的角度來看這又代表什麼?

電影中有兩件事預測的相當準確：「智慧型住家」和使用生物識別技術

當馬帝發現自己身在2015年以後，他看到未來的自己和家人住在具備聲控功能和智慧型家電的房子裡。因為這房子位在破舊的社區中，意味著這樣的房子在2015年屬於「智慧型住家」的「低階」。

在現實中，電影中所出現的「智慧型住家」技術正開始要變得普及和可以使用。但我們也看到和了解到電影中所沒有表現的另一件事，就是將住家網路化可能會帶來多大的潛在危險。我們已經看到針對智慧型家電（像是冰箱）的攻擊，用它們來發送垃圾郵件(SPAM)，成為網路上受感染系統與設備這嚴重問題的一部分。

在1980年代，我們根本不知道「智慧型住家」可能會面臨什麼樣的風險；而在2015年我們開始看到這些風險的些許端倪，因為它才剛要開始成為現實。

【延伸閱讀】《IoT物聯網安全趨勢》高科技家庭越來越有智慧
 《IoT 物聯網安全趨勢》採購智慧型裝置該注意些什麼?

使用生物識別技術在今日也變得更加可行

當警方找到1985年的珍妮佛（馬帝的女朋友）昏迷在一條小巷裡，他們能夠用她的指紋識別她。因為2015年的珍妮佛仍然活著，所以大概有指紋建檔在警方資料中。繼續閱讀

《小廣和小明的資安大小事》阿母設定的密碼居然跟某位總統一模一樣 !!

2015 年 10 月 21 日2015 年 10 月 21 日趨勢科技 TrendMicro

從密碼設定看母女連心?!…

阿母的 FB 密碼和網路銀行密碼一模一樣,而且還用連續數字和字母當密碼,身為女兒的小明不能用年紀大了,記不住密碼當藉口,竟也犯同樣的錯誤…難道是遺傳基因作梗嗎?其實也不用懷疑是遺傳基因,因為即使是名人也犯過同樣的錯誤 !

【延伸閱讀】1位副總統候選人,2位總統 , 3位大明星,猜猜哪位用 12345 當密碼?(含12個保護密碼實用的祕訣)

為什麼不能到處使用相同的密碼？

各位是否在社群網站、網路銀行、雲端儲存空間等網路上的多種服務中設定相同的帳號密碼？或許有些人因為「要記住多個帳號密碼太麻煩」、「複雜的密碼記不住」等理由，隨處使用容易被猜到的帳號密碼吧。繼續閱讀

Sony 被駭屆滿周年,資料外洩事件仍繼續延燒

2015 年 10 月 20 日2015 年 10 月 20 日趨勢科技 TrendMicro

作者：Tom Kellermann（趨勢科技網路安全長）

Sony被駭所發生的嚴重資料外洩事件已經屆滿周年了，駭客所造成威脅的數量和破壞持續上升著，成為美國政府機構和企業所必須面對的威脅。我們應該了解到，Sony並不孤單。

趨勢科技最近的一份報告「在美洲的網路安全和關鍵基礎設施防護」調查了500多名從阿根廷到加拿大的資訊安全長，帶來令人不安的氣氛。有44%的受訪者承認在2015年經歷過「刪除和銷毀」攻擊。在西半球，很顯然懲罰性攻擊在轉移和擴散。美國的國家情報總監（DNI）James Clapper表示他認為「下一個要挑戰界線的會是操縱或刪除資料。」

Clapper總監深深的了解不對稱的網路能力正在擴散著。主要黑暗網站論壇輸出著具有破壞性的惡意軟體，包括 Shamoon、Destover 和 Cryptowall 勒索軟體。讓網路犯罪分子能夠設計複雜且具有破壞性的攻擊。我們觀察到二次感染出現在許多針對性目標攻擊(Target attack )中。這些二次感染會去部署具有干擾性甚或是破壞性的惡意軟體來破壞資料的完整性。這種懲罰性策略被用來對付事件回應措施。繼續閱讀

對駭客發動制裁：是好還是壞？

2015 年 10 月 16 日2015 年 10 月 16 日趨勢科技 TrendMicro

新聞報導美國政府正考慮對攻擊美國企業機構的中國和俄羅斯個人駭客或駭客集團實施制裁。儘管針對政府機關 (如美國人事管理局) 的駭客攻擊較引人注意，但此次的制裁「並非」針對這類攻擊。

這樣的制裁看起來好像是一大進步，因為過去美國政府從未採取過類似措施來對付駭客。但就許多方面來說，其實也還好。過去美國政府就曾經對其他類型的犯罪組織採取類似行動。例如，2011 年即曾經頒布針對跨國性犯罪集團的行政命令。此外，其他政府機關 (如財政部) 也對一些其他犯罪團體實施過制裁。這些制裁通常都是金融性的，例如查封歹徒在美國境內的資產，或者透過美國金融機構來凍結資產。

美國政府經常利用針對民間個人的制裁來遏止犯罪活動侵害美國人民或企業機構。那麼，這次的制裁到底好還是不好？能不能遏止犯罪集團針對美國企業的網路犯罪？

從大方向來看，針對犯罪份子或犯罪團體的制裁仍是個不錯的想法。在無法透過美國法律硬性管束的情況下，這不失為一種實際的軟性手法。尤其是沒收財產 (包含比特幣（Bitcoin）等等數位貨幣)，將是打擊網路犯罪集團一項很有力的手段。此外，也與美國原本打擊組織犯罪和毒品走私的立場一致。

過去，趨勢科技的研究人員已多次和執法單位密切合作，未來仍將盡可能提供協助。只不過，受過訓練的執法人員和資安研究人員在數量上永遠跟不上網路犯罪份子。因此，我們必須摧毀網路犯罪活動賴以生存及獲利的基礎架構和後援機制。繼續閱讀

地下市場出現500美元的銀行木馬：Sphinx

2015 年 10 月 15 日2015 年 10 月 16 日趨勢科技 TrendMicro

被稱為Sphinx的新銀行木馬八月底出現在網路犯罪地下世界。在其登廣告後不久，論壇管理員很快就確認這新發表的惡意軟體可以從受感染電腦上竊聽敏感銀行憑證。

用C++編寫的Sphinx也是基於惡名昭彰的ZeuS銀行惡意軟體原始碼。值得注意的是其利用Tor網路的匿名性，開發者聲稱 Sphinx 能免疫於沉洞技術（sinkhole）、黑名單技術甚至是ZeuS追踪工具的銀行木馬。惡意軟體創造者聲稱它並不需要防彈主機（bulletproof）來運作「Botnet傀儡殭屍網路」。

網路銀行提供使用者處理銀行交易很大的方便，用戶可以用更簡單的方法進行理財、轉帳和支付。但這並非沒有風險，許多網路犯罪工具和伎倆讓無辜的網銀使用者變成受害者。

趨勢科技在之前的文章發表了過去所看到數個知名銀行木馬的簡史，並指出銀行木馬從第一隻開始就不停在進化，直到今日高度複雜化的惡意軟體。

最近發表的Sphinx被視為最新的ZeuS變種。這銀行木馬一開始售價500美元，包括表格擷取、IE、Firefox和Tor瀏覽器網頁注入、鍵盤側錄程式及FTP和POP3擷取程式。它還包含憑證擷取程式，讓它可以在憑證使用時加以攔截，以逃避安全警告並繞過防惡意軟體程式。

開發者指出 Sphinx可在Windows Vista和Windows 7上運作，即便是在使用者帳戶控制（UAC）已經啟用的電腦上。這代表Sphinx可以用較低權限的使用者帳號運作。按照開發者所言，「當你安裝Sphinx，殭屍程式會將自己複製到使用者的家目錄。此拷貝版本會跟當前使用者和作業系統綁定，並且不能由另一個使用者執行。被用來安裝的同一殭屍程式原始檔案將被自動刪除，無論是否安裝成功。」

此外，它的控制面板是用PHP開發，並且高度模仿ZeuS使用擴充套件mbstring和msyql。這可以為營運者提供受感染設備、在線殭屍電腦、新殭屍電腦、每日殭屍電腦活動及國家和作業系統統計數據等廣泛的報表。繼續閱讀